PHP安全配置詳解

 　　PHP勿庸置疑是非常強大的伺服器端指令碼語言，但是強大的功能總是伴隨著重大的危險，在這章裡，你將學習到使用PHP的安全模式來阻止一些PHP潛在的危險因素。

　　【 安全模式 】

　　PHP的安全模式提供一個基本安全的共用環境，在一個有多個使用者帳戶存在的PHP開放的Web伺服器上。當一個Web伺服器上啟動並執行PHP開啟了安全模式，那麼一些函數將被完全的禁止，並且會限制一些可用的功能。

　　[ 使用安全模式來強制限制 ]

　　在安全模式下，一些嘗試訪問檔案系統的函數功能將被限制。運行Web伺服器使用者ID，如果想要操作某個檔案，則必須擁有該檔案讀取或者寫入的存取權限，實現這個限制功能對於PHP來說是沒有問題的。

　　在 安全模式開啟的時候，嘗試讀取或者寫入一個本地檔案的時候，PHP將檢查當前訪問使用者是否是該目標檔案的所有者。如果不是所有者，則該操作會被禁止。(寫 入許可權：在較低層級的檔案存取權限下，可能會允許讀取或者寫入系統作業系統的檔案，通過PHP的安全模式實現了防止你操作另外一個使用者檔案的操作。當然， 一個Web伺服器可能能夠訪問一個具有全域寫入許可權的任意檔案。)

　　當安全模式開啟的時候，以下函數列表的功能將會受到限制：

　　chdir , move_uploaded_file, chgrp, parse_ini_file, chown, rmdir, copy, rename, fopen, require, highlight_file, show_source, include, symlink, link, touch, mkdir, unlink

　　同樣的，一些PHP擴充中的函數也將會受到影響。(載入模組：在安全模式下dl函數將被禁止，如果要載入擴充的話，只能修改php.ini中的擴充選項，在PHP啟動的時候載入)

　　在PHP安全模式開啟的時候，需要執行作業系統程式的時候，必須是在safe_mode_exec_dir選項指定目錄的程式，否則執行將失敗。即使允許執行，那麼也會自動的傳遞給escapeshellcmd函數進行過濾。

　　以下執行命令的函數列表將會受到影響：

　　exec, shell_exec, passthru, system, popen

　　另外，背部標記操作符(`)也將被關閉。

　　當運行在安全模式下，雖然不會引起錯誤，但是 putenv 函數將無效。同樣的，其他一些嘗試改變PHP環境變數的函數set_time_limit, set_include_path 也將被忽略。

　　[ 開啟安全模式 ]

　　開啟或者關閉PHP的安全模式是利用php.ini中的safe_mode選項。如果要啟用安全模式給當前所有共用Web伺服器的使用者，只要設定配置選項為：safe_mode = On當函數在訪問檔案系統的時候將進行檔案所有者的檢查。預設情況下，會檢查該檔案所有者的使用者ID，當你能夠修改檔案所有者的組ID(GID)為 safe_mode_gid 選項所指定的。如 果你有一個共用庫檔案在你的系統上，當你碰到需要include或require的時候，那麼你可以使用 safe_mode_include_dir 選項來設定你的路徑，保證你的代碼正常工作。(包含路徑： 如果你想要使用 safe_mode_include_dir 選項包含更多的包含路徑，那麼你可以象 include_path 選項一樣，在Unix/Linux系統下使用冒號進行分割，在Windows下使用分號進行分割)比如你想要在安全模式下包含 /usr/local/include/php 下的檔案，那麼你可以設定選項為：safe_mode_include_dir = /usr/local/include/php如果你的包含的檔案是需要執行的，那麼你可以設定 safe_mode_exec_dir 選項。比如你需要 /usr/local/php-bin 路徑下的檔案是可以執行的，那麼可以設定選項為：safe_mode_exec_dir = /usr/local/php-bin(可執行：如果你執行的程式在 /usr/bin 目錄下，那麼你可以把這些的二進位檔案，串連到你指定選項下能夠執行的路徑)如果你想設定某些環境變數，那麼可以使用 safe_mode_allowed_env_vars 選項。這個選項的值是一個環境變數的首碼，預設是允許 PHP_ 開頭的環境變數，如果你想要改變，可以設定該選項的值，多個環境變數首碼之間使用逗號進行分割。比如下面允許時區的環境變數 TZ ，那麼修改該選項的值為：safe_mode_allowed_env_vars = PHP_,TZ【 其他的安全特徵 】除了安全模式以外，PHP還提供了許多其他許多特徵來保證PHP的安全。

　　[ 隱藏PHP ]

　　你能夠在php.ini裡使用 expose_php 選項來防止Web伺服器泄露PHP的報告資訊。如下：expose_php = On利用整個設定，你能夠阻礙一些來自自動指令碼針對Web伺服器的攻擊。通常情況下，HTTP的頭資訊裡麵包含了如下資訊：Server: Apache/1.3.33 (Unix) PHP/5.0.3 mod_ssl/2.8.16

　　OpenSSL/0.9.7c在 expose_php 選項開啟以後，PHP的版本資訊將不包含在上面的頭資訊裡。當然，使用者訪問網站的時候同樣能夠看到 .php 的副檔名。如果你想整個的使用不同的副檔名，你需要在 httpd.conf 中找到如下這行：AddType application/x-httpd .php你就可以修改 .php 為任何你喜歡的副檔名。你能夠指定任意多個的副檔名，中間使用空格進行分割。如果你想在伺服器端使用PHP來解析 .html 和 .htm 檔案的時候，那麼你設定選項如下：AddType application/x-httpd .html .htm(解析HTML：配置你的Web伺服器使用PHP去解析所有的HTML檔案，但是如果非伺服器端代碼也需要PHP去解析，會影響伺服器的效能。靜態頁面你可以使用不同的副檔名，這樣能夠消除對PHP指令碼引擎的依賴，增強效能。)

　　[ 檔案系統安全 ]

　　安全模式限制了指令碼所有者只能訪問屬於自己的檔案，但是你可以使用 open_basedir 選現來指定一個你必須訪問的目錄。如果你指定了一個目錄，PHP將拒絕訪問除了該目錄和該目錄子目錄的其他目錄。open_basedir 選項能夠工作在安全模式之外。限制檔案系統只能訪問 /tmp 目錄，那麼設定選項為：open_basedir = /tmp[ 函數存取控制 ]你能夠在 disable_functions 選項中使用逗號分割來設定函數名，那麼這些函數將在PHP指令碼中被關閉。這個設定能夠工作在安全模式之外。disable_functions = dl當然，同樣的你能夠使用 disable_classes 選項來關閉對一些類的訪問。

　　[ 資料庫安全 ]

　　假設你的PHP指令碼中包含一個基於表單值來執行的Mysql查詢：$sql = “UPDATE mytable SET col1 = ” .